Hacking Ético

Mañana es segundo martes de mes, y como es habitual en Microsoft, toca Patch Tuesday. ¿Qué es el Patch Tuesday? Pues eso, que Microsoft lanza sus boletines de seguridad los segundos martes de cada mes, y mañana toca. Así que mañana toca actualizar.

¿Por qué tendríamos que actualizar? Pues la respuesta es bien sencilla. Con estas actualizaciones se subsanan hasta 40 vulnerabilidades, muchas ellas para Internet Explorer (versiones 6, 7 y 8), Windowx XP, Windows Vista y 7, además de algunas versiones de servidor.

Hay varias actualizaciones críticas. Una de ellas, soluciona un agujero de seguridad que afectaba al navegador Internet Explorer, y que ha sido uno de los objetivos de ataque durante este último mes, de ahí que la compañía recomiende las actualizaciones que se van a emitir mañana.

Por cierto, con este número de boletines, Microsoft bate su propio record ya que supera los 16 boletines del pasado mes de octubre. No es de extrañar teniendo en cuenta que, sólo en sistemas operativo de escritorio, Microsoft está soportando hasta tres, XP, Vista y 7.

Desde nuestro Blog hacemos hincapié en la importancia de las actualizaciones, sobre todo en estas fechas en las que los atacantes están más activos que nunca.

Pues nada a actualizar mañana.

Saludos y Feliz Patch Tuesday.

En su ciclo habitual de actualizaciones los segundos martes de cada mes, Microsoft ha anunciado que en esta ocasión se esperan seis boletines de seguridad. Afectan a toda la gama de sistemas operativos Microsoft y Office.

Si en octubre se publicaron trece boletines dentro del ciclo habitual (rompiendo todos los récords), este mes Microsoft prevé publicar seis actualizaciones el martes 10 de noviembre. Tres se consideran críticos y tres importantes.

Adicionalmente, y como viene siendo habitual, Microsoft publicará una actualización para Microsoft Windows Malicious Software Removal Tool. Además, se publicarán actualizaciones de alta prioridad no relacionadas con la seguridad.

Solucionados los graves problemas que surgieron en SMBv2 e IIS, Microsoft no tiene ahora mismo ninguna “deuda pendiente” en forma de grave vulnerabilidad reciente por resolver. Sin contar con el hecho de que ha dejado sin resolver para Windows 2000 la vulnerabilidad “sockstress” descubierta a finales de 2008 y que ha afectado a la mayoría de pilas TCP de casi todos los fabricantes de software. En su política de intentar forzar la migración de sus clientes, ha asegurado que la actualización “supondría un importante cambio estructural” en el sistema operativo. Para Windows XP, también afectado, tampoco ha ofrecido parche. Alega que su configuración por defecto no sería vulnerable y recomienda el uso del cortafuegos integrado para mitigar el problema, que en todo caso sería de riesgo bajo.

No se publican en esta ocasión parches para Windows 7. Recordemos que en los boletines emitidos en octubre, ya aparecían actualizaciones de seguridad específicas para este nuevo sistema operativo.

Los parches anunciados están sujetos a cambios, en cualquier caso, no se garantiza que se produzcan cambios de última hora.

Fuente: hispasec

Aunque están a punto de salir los boletines de seguridad de este mes de Octubre, aquí os dejamos un resumen de los boletines publicados durante el mes de Septiembre.

Los boletines publicados son:

* MS09-045: Actualización destinada a solucionar una vulnerabilidad en el motor JScript al procesar scripts especialmente manipulados. Este fallo podría permitir a un atacante remoto ejecutar código arbitrario bajo el contexto del usuario al visitar una página web maliciosa.

* MS09-046: Actualización destinada a corregir una vulnerabilidad en el control ActiveX DHTML Editing Component que podrían permitir la ejecución remota de código si el usuario visita un sitio web específicamente creado para explotar esta vulnerabilidad. Afecta a Windows XP, 2000 y Server 2003.

Leer más…